klient küsib meie pilveteenus pakkuja turvalisuse kohta, mida peaksin vastama

Pilveandmete teenuse pakkuja kuulub artikli 21 lõike 2 punkti d alla

Vastake sellega, mida te tegelikult suudate põhjendada: lepingulised kokkulepped teie pilveandmete teenuse pakkujaga turvalisuse kohta ning võimalusel sertifikaat või audititaruanne, mille teenuse pakkuja teile andis. Teie pilveandmete teenuse pakkuja turvalisuse kohta esitatud küsimus kuulub tarnija turvalisuse kategooriasse: NIS2 artikli 21 lõige 2 punkt d nimetab otsesõnu tarneahela turvalisust, sealhulgas suhteid pilveandmete teenuse pakkujatega. Teie dossier ei pea tõestama pilveandmete teenuse pakkuja enda turvalisust — seda teeb teenuse pakkuja ise, oma sertifikaadi või läbipaistvusraporti kaudu. Mida te peate näitama, on see, et te olete seda turvalisust kontrollida võtnud enne teenuse kasutamist ja teete seda perioodiliselt korrata.

Kui teil seda tõendit pole — pilveandmete teenuse pakkuja ISO 27001-sertifikaadi koopia puudub, SOC 2-raportit pole, lepingus pole klauslit intsidentide teatamise kohustuse osas — siis on "ei" või "pole tõendatud" õige vastus, isegi kui te teenuse pakkuja suhtes usaldust tunnete. Usaldus ei ole tõendmaterjal. Praktiliselt: taotlege seda tõendit teenuse pakkujalt siiski (suuremate pilveteenuse partnerite puhul on see tavaliselt saadaval standardkujul usalduskeskuses või sarnasel portaalis) ja pange see oma ketendossieriisse, kui te selle saate. Sama küsimus on sageli seotud turvalisuse nõuetega, mille te ise tarnijatele esitate — kui te olete selleks juba poliitika kehtestanud, on pilveandmete teenuse pakkuja selle konkreetne näide.

Kus see kümne meetme seas asub

Artikli 21 lõige 2 NIS2 loetleb kümme abinõu, mida üksus peab võtma; punkt d käsitleb spetsiifiliselt tarneahela turvalisust, millele viitab otsesõnaline viide tarnija suhetega seotud turvalisusaspektidele. ISO/IEC 27001 väljatöötab seda Lisas A tarnija suhete kontrollmeetmete kaudu, kuhu kuuluvad ka nõuded pilve- ja IKT-teenuse pakkujatele. Kui teie enda ettevõte on ise üksus Küberjulgeoleku seaduse alusel, siis ei ole see eraldi küsimus vaid kohustuse osa — kontrollige seda vajadusel küsimuse puhul, kas teie ettevõte kuulub NIS2 alla.